Informativa sulla privacy

Titolare del trattamento è 3Labs S.r.l., con sede legale in Via Pietro Paleocapa 1, 20121 Milano (MI), Italia, P. IVA 04146420965.

Per ogni questione relativa ai dati personali e per esercitare i tuoi diritti puoi scrivere a privacy@3labs.it oppure via PEC a 3labs@pec.it.

MCN Revenue è uno strumento privato B2B: non è rivolto al pubblico né ai minori e vi si accede solo con un account autorizzato da 3Labs. I dati vengono raccolti nei seguenti contesti:

• Registrazione e accesso: quando crei un account con email e password o accedi con Google.
• Uso dell’applicazione da parte del team di 3Labs, dei collaboratori e dei channel manager (catalogo dei canali, assegnazioni, decisioni, note).
• Gestione dei creator: il personale di 3Labs inserisce i dati anagrafici, contrattuali e di pagamento dei creator con cui ha un rapporto; i creator possono accedere al proprio portale.
• Raccolta di dati da YouTube: statistiche pubbliche di canali e video tramite i servizi API di YouTube e i feed pubblici; dati di YouTube Analytics dei canali il cui content owner ha autorizzato l’applicazione.
• Import finanziario mensile: report del CMS di YouTube e pagamenti ricevuti da Google, caricati dal personale autorizzato.
• Notifiche: destinazioni configurate per avvisi e riepiloghi (email, Slack, Telegram).
• Visita delle pagine pubbliche (home, accesso, pagine legali).

Trattiamo solo le categorie di dati necessarie alle finalità del punto 4:

• Dati dell’account: nome, indirizzo email e stato della sua verifica, password (conservata solo come hash, mai in chiaro), eventuale immagine del profilo fornita da Google, lingua dell’interfaccia, ruolo e network di appartenenza, inviti ricevuti.
• Dati di sessione e di sicurezza: sessioni attive con indirizzo IP e user agent del browser, contatori anti-abuso sulle richieste di accesso (per indirizzo IP), registro delle attività (chi ha eseguito un’operazione, quando e, se disponibile, da quale indirizzo IP).
• Accesso con Google: identificativo dell’account Google, nome, email, immagine del profilo e i token restituiti da Google per completare l’accesso.
• Dati di team e collaboratori: nome, email, mansione, team, stato, capacità di lavoro, note e assegnazioni ai canali.
• Dati dei creator: nome, email, telefono, paese, codice fiscale o partita IVA, condizioni contrattuali (compenso, date di inizio e fine), metodo di pagamento e coordinate bancarie o di pagamento, soglia minima di pagamento, saldi, compensi e pagamenti. Le coordinate di pagamento sono conservate cifrate e mostrate solo su richiesta esplicita ai ruoli di amministrazione e finanza autorizzati; ogni visualizzazione viene registrata.
• Dati pubblici di YouTube: informazioni e statistiche pubbliche di canali e video (punto 10).
• Dati di YouTube Analytics dei canali il cui content owner ha autorizzato l’applicazione tramite OAuth: metriche giornaliere e ricavi stimati (punto 10). I token di accesso sono conservati cifrati.
• Dati finanziari del network: report mensili del CMS caricati dal personale (ricavi per canale e per video, rettifiche, riepiloghi di pagamento), ricavi, riconciliazioni e pagamenti ricevuti da Google.
• Impostazioni di notifica: preferenze personali, destinazioni configurate (indirizzi email, webhook Slack, bot e chat Telegram, conservate cifrate) e registro degli invii.
• Log tecnici: registro delle raccolte di dati (esecuzioni e singole attività) e log tecnici del fornitore di hosting.

Non trattiamo categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali e reati. I commenti ai video non vengono raccolti.

• Fornire l’applicazione e gestire gli account (registrazione, accesso, ruoli e permessi, preferenze, email di verifica): esecuzione del contratto o di misure precontrattuali (art. 6.1.b GDPR).
• Gestire il rapporto con i creator (calcolo di ricavi, compensi e pagamenti, portale del creator): esecuzione del contratto o di misure precontrattuali (art. 6.1.b).
• Gestire il network e i canali (statistiche, avvisi, metriche, assegnazioni al team, confronto delle stime con i report mensili): esecuzione dei contratti con creator e content owner e legittimo interesse di 3Labs a organizzare la propria attività (art. 6.1.b e 6.1.f).
• Adempiere agli obblighi di legge, in particolare fiscali e contabili, per i dati finanziari: obbligo legale (art. 6.1.c).
• Sicurezza e prevenzione degli abusi (sessioni, limiti ai tentativi di accesso, registro delle attività e delle visualizzazioni delle coordinate di pagamento): legittimo interesse alla protezione del servizio e dei dati (art. 6.1.f).
• Notifiche operative (avvisi e riepiloghi via email, Slack o Telegram, secondo le preferenze impostate): esecuzione del contratto e legittimo interesse all’operatività del team (art. 6.1.b e 6.1.f).
• Statistiche aggregate di utilizzo delle pagine, senza cookie (punto 9): legittimo interesse al buon funzionamento del servizio (art. 6.1.f).

MCN Revenue non invia newsletter né comunicazioni di marketing, non effettua profilazione a fini pubblicitari e non vende dati personali. I dati dell’account sono necessari per usare l’applicazione; i dati dei creator sono necessari per gestire il rapporto e i pagamenti.

I dati sono accessibili al personale autorizzato di 3Labs e agli utenti dell’applicazione nei limiti del loro ruolo (per esempio, un creator vede solo i propri dati). Li trattano inoltre, come responsabili del trattamento (art. 28 GDPR), i seguenti fornitori:

• Vercel: hosting dell’applicazione (funzioni eseguite nella regione di Francoforte, fra1), archiviazione privata dei file dei report del CMS (Vercel Blob, fra1) e statistiche aggregate di utilizzo senza cookie (Vercel Web Analytics).
• Neon: database PostgreSQL gestito, nella regione di Francoforte.
• Resend: invio delle email transazionali (verifica dell’indirizzo, avvisi e riepiloghi).
• Google: accesso con Google e servizi API di YouTube (punto 10).
• Slack e Telegram: solo se il network configura queste destinazioni per avvisi e riepiloghi; ricevono il contenuto dei messaggi inviati.

I dati possono essere comunicati alle autorità pubbliche quando la legge lo richiede. Non vengono diffusi né venduti a terzi.

I dati sono trattati con strumenti elettronici, secondo il principio di minimizzazione, e protetti da misure tecniche e organizzative adeguate, tra cui:

• connessioni cifrate (HTTPS) e cookie di sessione protetti;
• password conservate solo come hash e verifica dell’indirizzo email;
• cifratura (AES-256-GCM) dei token OAuth di YouTube, delle coordinate di pagamento dei creator e delle configurazioni di notifica;
• accesso basato su ruoli e permessi: ogni utente vede solo i dati del proprio network consentiti dal suo ruolo; le coordinate di pagamento sono mostrate solo su richiesta, ai ruoli autorizzati, con registrazione e limite di frequenza;
• registro delle attività (audit log) delle operazioni rilevanti;
• limiti ai tentativi di accesso, di registrazione e di invio delle email di verifica;
• file dei report archiviati in uno spazio privato, senza indirizzi pubblici;
• uso dei dati di YouTube in sola lettura: l’applicazione non pubblica né modifica contenuti sui canali.

Non vengono prese decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o effetti analogamente significativi sulle persone (art. 22 GDPR): avvisi, punteggi e metriche sono strumenti di supporto per il team.

Il database e l’hosting dell’applicazione si trovano nell’Unione europea (Francoforte). Alcuni fornitori del punto 5 hanno sede o sub-responsabili fuori dallo Spazio economico europeo, per esempio per l’invio delle email, per i servizi Google e, se configurati, per Slack e Telegram. In questi casi il trasferimento avviene sulla base di garanzie adeguate ai sensi degli artt. 44–49 GDPR, come le decisioni di adeguatezza della Commissione europea o le Clausole contrattuali standard (SCC). Puoi chiedere informazioni sulle garanzie adottate scrivendo a privacy@3labs.it.

• Account: finché l’account è attivo; i dati vengono cancellati su richiesta o quando non sono più necessari, salvo quelli da conservare per obblighi di legge. Le sessioni scadono automaticamente; la revoca dell’accesso da parte di un amministratore toglie l’accesso ai dati del network.
• Dati dei creator e dati finanziari (report del CMS e relativi file, ricavi, compensi, pagamenti, incassi da Google): per la durata del rapporto e, successivamente, per il periodo richiesto dalla normativa fiscale e civilistica applicabile.
• Registro delle attività: per il tempo necessario a finalità di sicurezza e di verifica; oggi non ha una scadenza automatica.
• Statistiche pubbliche di YouTube: i campioni giornalieri di canali e video formano lo storico e, di norma, non hanno una scadenza automatica. Se il network attiva i limiti di spazio, per ogni video si conservano tutti i campioni giornalieri fino a 90 giorni dalla pubblicazione, poi un campione al mese fino a 12 mesi; oltre, i campioni giornalieri vengono eliminati (la scheda del video resta). Con la stessa impostazione il dettaglio delle attività di raccolta viene eliminato dopo 30 giorni. I campioni infragiornalieri vengono sempre eliminati dopo 14 giorni. Se il network disattiva l’opzione che considera propri tutti i canali, i campioni e i testi (titoli, descrizioni, tag, miniature) dei canali di terzi scadono dopo il periodo impostato (29 giorni come valore predefinito). I valori indicati sono quelli predefiniti e possono essere modificati dal super amministratore.
• Dati di YouTube Analytics dei canali autorizzati: conservati come storico dei canali del network. Quando la connessione viene scollegata dalle Impostazioni, i token vengono revocati presso Google ed eliminati e la raccolta si interrompe; i dati già importati restano, salvo richiesta di cancellazione.
• Impostazioni e registro delle notifiche: finché la configurazione è attiva e per il tempo necessario a verificare gli invii.
• Cookie tecnici: vedi il punto 9.

MCN Revenue usa solo cookie tecnici, necessari al funzionamento e alla sicurezza del servizio, per i quali non serve il consenso: per questo non viene mostrato un banner dei cookie. Non usiamo cookie analitici, pubblicitari o di profilazione, né propri né di terze parti.

• Cookie di sessione (Better Auth): mantengono l’accesso; durano quanto la sessione.
• NEXT_LOCALE: ricorda la lingua scelta; 12 mesi.
• Cookie temporanei dei flussi OAuth: durante l’accesso con Google e durante il collegamento di un account YouTube da parte di un amministratore (yt_oauth_state, yt_oauth_pending: 10 minuti).

Nella memoria locale del browser (localStorage) vengono salvate solo preferenze di interfaccia (tema chiaro o scuro, barra laterale, colonne delle tabelle), che non vengono inviate al server. Le statistiche di Vercel Web Analytics non usano cookie e sono trattate in forma aggregata. Nelle pagine dell’applicazione le miniature di canali e video vengono caricate direttamente dai server di YouTube, che ricevono quindi l’indirizzo IP del browser.

MCN Revenue utilizza i servizi API di YouTube (YouTube API Services). Usando le funzioni che si basano su questi servizi accetti i Termini di servizio di YouTube; al trattamento svolto da Google si applicano le Norme sulla privacy di Google.

Dati a cui accediamo.

• Con una chiave API e dai feed pubblici di YouTube: dati pubblici dei canali (identificativo, nome, handle, descrizione, miniatura, paese, numero di iscritti, di visualizzazioni e di video) e dei video (identificativo, titolo, descrizione, tag, miniatura, data di pubblicazione, durata, categoria e lingua, numero di visualizzazioni, di Mi piace e di commenti).
• Con l’autorizzazione OAuth del content owner, in sola lettura: content owner e canali gestiti, metriche giornaliere di YouTube Analytics (visualizzazioni, minuti di visualizzazione stimati, iscritti acquisiti e persi) e metriche di ricavo stimate (ricavi stimati totali, pubblicitari e YouTube Premium, ricavi lordi, riproduzioni monetizzate, CPM).

Uso. I dati servono solo alle funzioni dell’applicazione: catalogo e statistiche dei canali del network, avvisi, metriche, confronto delle stime con i report mensili del CMS e rendiconti ai creator.

Conservazione. Nel database dell’applicazione, secondo le regole del punto 8; i token OAuth sono cifrati.

Condivisione. I dati sono visibili solo agli utenti autorizzati del network, secondo il loro ruolo, e ai fornitori del punto 5. Non vengono venduti né usati per pubblicità.

Revoca dell’accesso. Un amministratore può scollegare un account YouTube dalle Impostazioni dell’applicazione: i token vengono revocati presso Google ed eliminati. Puoi inoltre revocare in qualsiasi momento l’accesso di MCN Revenue al tuo account Google, anche per l’accesso con Google, dalla pagina Autorizzazioni di sicurezza di Google.

Uso limitato. L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di MCN Revenue rispettano le Norme sui dati utente dei servizi API di Google, inclusi i requisiti di Uso limitato. I dati utente di Google servono solo a fornire le funzioni dell’applicazione: non vengono usati per pubblicità, non vengono venduti e non vengono trasferiti a terzi, se non per fornire queste funzioni, per motivi di sicurezza o per obbligo di legge.

Link a terzi. L’applicazione contiene link a YouTube e ad altri siti esterni: 3Labs non è responsabile dei loro contenuti né dei loro trattamenti di dati, per i quali ti invitiamo a leggere le rispettive informative.

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15–22 GDPR:

• accesso ai tuoi dati (art. 15);
• rettifica (art. 16);
• cancellazione (art. 17);
• limitazione del trattamento (art. 18);
• portabilità dei dati (art. 20);
• opposizione ai trattamenti basati sul legittimo interesse (art. 21).

Le richieste vanno inviate a privacy@3labs.it. Rispondiamo entro 30 giorni; il termine può essere prorogato nei casi previsti dall’art. 12 GDPR, dandotene comunicazione. Potremmo chiederti informazioni utili a verificare la tua identità.

Se ritieni che il trattamento dei tuoi dati violi il GDPR, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato dell’UE in cui risiedi o lavori, oppure rivolgerti all’autorità giudiziaria.

Possiamo aggiornare questa informativa per riflettere modifiche dell’applicazione o della normativa. La data dell’ultimo aggiornamento è indicata in cima alla pagina; in caso di modifiche rilevanti ne daremo notizia agli utenti nell’applicazione o via email.